Cyberatak na systemy MyDr w 2026 roku – incydent bezpieczeństwa ujawniony w sierpniu 2026 roku, w wyniku którego nieuprawniona osoba uzyskała dostęp do systemów informatycznych spółki MyDr, dostawcy oprogramowania do prowadzenia elektronicznej dokumentacji medycznej. Według Ministerstwa Cyfryzacji potencjalnie dotyczył on historycznych danych 18,8 miliona osób przechowywanych przez ponad 12 tysięcy placówek medycznych. Dokładna liczba osób, których dane zostały odczytane lub skopiowane, nie została jednak publicznie ustalona.[1][2]

Ujawnienie incydentu

Pierwsze publiczne informacje o zdarzeniu pojawiły się po tym, jak osoby podające się za sprawców skontaktowały się z serwisem Zaufana Trzecia Strona. Twierdziły, że zdobyły zbiór zawierający 18 814 422 unikalne numery PESEL, i przekazały redakcji fragment danych. Liczba ta była deklaracją sprawców, a przekazanie próbki nie stanowiło potwierdzenia kompletności całego zbioru.[3]

12 sierpnia Ministerstwo Cyfryzacji poinformowało, że MyDr potwierdziło nieuprawniony dostęp do danych historycznych, zasadniczo pochodzących z okresu do kwietnia 2024 roku. Incydent nie zakłócił bieżącego działania placówek ani wystawiania recept. Dalsze działania koordynowały między innymi Ministerstwo Cyfryzacji, Ministerstwo Zdrowia, Urząd Ochrony Danych Osobowych, prokuratura i Centralne Biuro Zwalczania Cyberprzestępczości.[1]

W komunikatach MyDr określiło zdarzenie jako celowe działanie przestępcze podmiotu zewnętrznego. Spółka podała, że zidentyfikowała i usunęła przyczynę uzyskania dostępu oraz rozpoczęła analizę zakresu naruszenia. 24 sierpnia zapowiedziała objęcie powiadomieniami około 18 milionów osób, których przeważnie historyczne dane znajdowały się w środowisku objętym incydentem. Jednocześnie zaznaczyła, że zakwalifikowanie osoby do powiadomienia nie oznacza, iż jej dane zostały rzeczywiście skradzione, odczytane lub opublikowane.[2]

2 września MyDr potwierdziło, że sprawca skopiował zawartość bazy danych przechowywanej w chmurze przed 12 kwietnia 2024 roku. W przypadku ograniczonej liczby osób incydent objął także dane z anulowanych e-skierowań wystawionych po tej dacie. Spółka podała, że opanowała incydent i nie stwierdziła dalszego nieuprawnionego dostępu. Było to uzupełnienie wcześniejszych, ostrożniejszych komunikatów o samym dostępie do środowiska.[2]

Zakres danych

Według informacji przekazanych przez rzecznika Prokuratury Okręgowej w Warszawie postępowanie dotyczy uzyskania przez nieustaloną osobę, nie później niż 6 sierpnia 2026 roku, dostępu do całości lub części systemu MyDr po przełamaniu albo ominięciu zabezpieczeń. Wśród informacji znajdujących się w objętym sprawą materiale wymieniono imiona i nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane dotyczące zdrowia, w tym notatki z wizyt lekarskich i informacje o wystawionych receptach. Prokuratura potwierdziła również, że część danych przesłano redakcji Zaufanej Trzeciej Strony.[4]

Ministerstwo Zdrowia podkreśliło, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia. Cyberatak na prywatnego dostawcę oprogramowania nie wpłynął na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług publicznego systemu ochrony zdrowia.[5]

Postępowania i działania zabezpieczające

Dochodzenie prowadziło Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. Funkcjonariusze analizowali zabezpieczone dane, skalę zdarzenia i okoliczności uzyskania dostępu. 18 sierpnia CBZC informowało, że ze względu na dobro i złożoność postępowania nie było jeszcze zasadne przekazanie numerów PESEL pacjentów obsługiwanych przez MyDr do serwisu Bezpieczne Dane. Biuro ostrzegło zarazem przed oszustami mogącymi podszywać się pod placówki medyczne, banki i instytucje państwowe.[6]

Prezes UODO wszczął kontrolę spółki MyDr, obejmującą stosowane zabezpieczenia techniczne i organizacyjne, ich regularne testowanie oraz przeprowadzoną analizę ryzyka. UODO wskazał, że MyDr występowało jako podmiot przetwarzający, natomiast administratorami danych pozostawały korzystające z jego usług placówki medyczne. To na nich spoczywał obowiązek oceny ryzyka, zgłoszenia naruszenia organowi nadzorczemu, a w przypadkach wysokiego ryzyka także powiadomienia pacjentów.[7][8]

Centrum e-Zdrowia nie stwierdziło oznak naruszenia ani nieuprawnionego wykorzystania certyfikatów służących do komunikacji z systemem P1. Mimo to CeZ i MyDr rozpoczęły ich stopniową wymianę jako działanie zapobiegawcze.[9]

Ryzyko dla pacjentów

UODO zalecił osobom objętym naruszeniem zastrzeżenie numeru PESEL oraz szczególną ostrożność wobec wiadomości e-mail, SMS-ów i rozmów telefonicznych. Połączenie danych identyfikacyjnych, kontaktowych i medycznych może ułatwiać kradzież tożsamości, próby wyłudzenia oraz wiarygodnie przygotowane ataki phishingowe. Dane dotyczące zdrowia mogą ponadto prowadzić do naruszenia prywatności, dóbr osobistych lub dyskryminacji.[10][8]

Praktyczne następstwa incydentu

27 sierpnia UODO wyjaśnił, że osoby objęte incydentem nie muszą składać indywidualnej skargi wyłącznie z powodu samego naruszenia, ponieważ urząd prowadzi kontrolę MyDr. Mogą natomiast wykonywać prawa wynikające z RODO wobec administratora swoich danych, czyli właściwej placówki medycznej; administrator powinien co do zasady odpowiedzieć w ciągu miesiąca. Placówki, które otrzymały od MyDr potwierdzenie objęcia ich danych incydentem, powinny ocenić ryzyko, rozważyć zgłoszenie naruszenia Prezesowi UODO, a przy wysokim ryzyku bez zbędnej zwłoki powiadomić osoby, których dane dotyczą.[11]

Pod koniec sierpnia w oficjalnym serwisie Bezpieczne Dane pojawił się wpis dotyczący incydentu MyDr. Po zalogowaniu użytkownicy mogli sprawdzić, czy ich numer PESEL znajdował się w zbiorze objętym wyciekiem. Zmieniło to stan opisany przez CBZC 18 sierpnia, kiedy przekazanie numerów do serwisu nie było jeszcze uznawane za zasadne.[12]

W komunikacie z 29 sierpnia MyDr wyjaśniło, że numery PESEL trafiły do CERT NASK od organów ścigania, a nie przez odnalezienie publicznie dostępnej bazy w internecie. Także 5 września spółka deklarowała brak dowodów publicznego udostępnienia danych. Powiadamianie placówek prowadzono partiami; MyDr udostępniło im bezpłatne narzędzie do wysyłania pacjentom SMS-ów i e-maili wraz ze wzorami zawiadomień.[2]

Przypisy

  1. Ministerstwo Cyfryzacji. Komunikat po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. gov.pl. 2026-08-12. pl. Dostęp: 2026-08-27. ↩ ↩
  2. MyDr. Informacje dotyczące incydentu bezpieczeństwa. MyDr. 2026-09-05. pl. Dostęp: 2026-09-07. ↩ ↩ ↩ ↩
  3. Hakerzy twierdzą, że ukradli dane ponad 18 milionów Polek i Polaków z firmy MyDr. Zaufana Trzecia Strona. 2026-08-11. pl. Dostęp: 2026-08-27. ↩
  4. Marta Stępień. Wyciek danych z firmy MyDr. Ruch prokuratury. Interia. 2026-08-13. pl. Dostęp: 2026-08-27. ↩
  5. Ministerstwo Zdrowia. Informacja w związku z incydentem dotyczącym firmy MyDr. gov.pl. 2026-08-12. pl. Dostęp: 2026-08-27. ↩
  6. Centralne Biuro Zwalczania Cyberprzestępczości. Komunikat dot. wycieku danych pacjentów z systemu informatycznego. Policja. 2026-08-18. pl. Dostęp: 2026-08-27. ↩
  7. Łukasz Kuligowski. Prezes UODO skontroluje spółkę MyDr. Urząd Ochrony Danych Osobowych. 2026-08-13. pl. Dostęp: 2026-08-27. ↩
  8. Karol Witowski. Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym. Urząd Ochrony Danych Osobowych. 2026-08-12. pl. Dostęp: 2026-08-27. ↩ ↩
  9. Centrum e-Zdrowia. Działania prewencyjne po incydencie dotyczącym firmy MyDr. Centrum e-Zdrowia. 2026-08-14. pl. Dostęp: 2026-08-27. ↩
  10. Urząd Ochrony Danych Osobowych. Wyciek danych – co dalej?. Urząd Ochrony Danych Osobowych. 2026-08-12. pl. Dostęp: 2026-08-27. ↩
  11. Łukasz Kuligowski. Pytania zadawane przez podmioty danych oraz administratorów związane z incydentem bezpieczeństwa MyDr. Urząd Ochrony Danych Osobowych. 2026-08-27. pl. Dostęp: 2026-08-27. ↩
  12. Historia wycieków – MyDr. Bezpieczne Dane. pl. Dostęp: 2026-09-04. ↩